An einem Montagmorgen ertappt Sophie B. eine Kollegin, deren Maus nur noch einen Zentimeter von einem Link entfernt ist — in einer E-Mail, die ihre Bank perfekt nachahmt. Diesmal ist nichts passiert: ein Moment des Zweifels genügte, um den Klick zu stoppen. Doch Sophie, Partnerin einer Treuhandkanzlei, erkennt zwei Dinge auf einmal. Erstens hat niemand in ihrem Team je eine klare Anleitung erhalten, worauf zu achten ist. Zweitens erschien ihr «alle für Cybersicherheit zu schulen» stets als Luxus, der grossen Häusern vorbehalten ist — ein Budget, das sie nicht hat.
Warum Sensibilisierung für Cybersicherheit weniger kostet als gedacht
Die gute Nachricht passt in einen Satz: Die meisten Angriffe auf ein kleines Unternehmen zielen nicht auf eine technische Lücke, sondern auf eine Person in Eile. Phishing — diese gefälschten Nachrichten, die Sie zum Klicken, Zahlen oder zur Preisgabe eines Passworts drängen — funktioniert, weil es eine alltägliche Anfrage nachahmt: eine Rechnung, ein Paket, eine «dringende» Nachricht der Geschäftsleitung. Keine Firewall ersetzt die Sekunde Aufmerksamkeit, die jemanden sagen lässt: «Das ist seltsam, ich prüfe das.»
Genau das macht Sensibilisierung erschwinglich. Eine Kanzlei wie die von Sophie B. braucht weder eine E-Learning-Plattform für mehrere Tausend Franken pro Jahr noch einen internen IT-Fachmann. Was schützt, sind geteilte Reflexe, die über die Zeit gepflegt werden. Und ein Reflex entsteht durch Zeit und Regelmässigkeit, nicht durch eine Budgetzeile.
In einer kleinen Organisation wird diese Logik durch ein Detail verstärkt, das gegen Sie arbeitet: Entscheidungswege sind kurz und informell. Wenn sich alle kennen und sich an der Kaffeemaschine begegnen, will niemand eine Anfrage hinterfragen, die scheinbar von einer vertrauten Kollegin oder einem Stammkunden kommt. Dieses Vertrauen, im Alltag so wertvoll, wird zum Einfallstor für alle, die es imitieren können. Eine gut gemachte gefälschte E-Mail nutzt genau diese Nähe aus. Die Gegenmassnahme kostet nichts: Machen Sie das Prüfen zur Normalität, auch — gerade — wenn die Anfrage von einem vertrauten Gesicht zu kommen scheint.
Es gibt auch einen Schweizer Grund, damit zu beginnen. Das revDSG — das revidierte Datenschutzgesetz, in Kraft seit 2023 — erwartet von einem Unternehmen, das sensible Daten hält, «angemessene» Sicherheitsmassnahmen. Für eine Kanzlei, die Buchhaltung, Löhne und Steuerdaten Dutzender Kundinnen und Kunden verarbeitet, gehört ein Team, das eine Falle erkennt, klar zu diesen Massnahmen. Das Bundesamt für Cybersicherheit (BACS, NCSC), die öffentliche Schweizer Referenz, stellt die Sensibilisierung der Mitarbeitenden ebenfalls an die Spitze seiner Empfehlungen für KMU. Nichts davon verlangt einen grossen Scheck.
Was man sich merken sollte
Drei Gedanken genügen, um in einer kleinen Organisation den Unterschied zu machen.
Erstens: Sicherheit ist vor allem eine Frage wiederholten Verhaltens, nicht einer weiteren Software. Das beste Antivirenprogramm der Welt holt keine Zahlung zurück, die in gutem Glauben an einen falschen Lieferanten ging. Ein Mitarbeitender mit dem Reflex zu prüfen schon.
Zweitens: Der begrenzende Faktor ist nicht Geld, sondern Regelmässigkeit. Eine Marathon-Sitzung über einen halben Tag, drei Wochen später vergessen, schützt weniger als fünfzehn Minuten jeden Monat. Wir behalten, was wir oft wiederholen, nicht was wir einmal über uns ergehen lassen.
Drittens: Ihr bestes Lehrmaterial landet bereits in Ihrem Postfach. Die echten verdächtigen Nachrichten, die Sie erhalten, schlagen jeden Lehrbuchfall. Sie handeln von Ihren Kundinnen, Ihren Werkzeugen, Ihrem Alltag — deshalb bleiben sie haften. Ein hauseigenes Beispiel, sofort besprochen, hinterlässt eine weit dauerhaftere Spur als ein generisches Video, gedreht in einer Umgebung, die nichts von dem zeigt, was Ihr Team kennt.
Diese drei Gedanken haben eines gemeinsam: Sie verschieben die Frage. Man fragt nicht mehr «Was kostet es, alle zu schulen», sondern «Wie verankern wir drei oder vier gute Reflexe, ohne ohnehin volle Tage zu überladen». So formuliert, wird das Problem sofort kleiner — und liegt durchaus in Reichweite einer Kanzlei mit wenigen Personen.
Gewohnheiten, die Sie diese Woche einführen
Keine dieser drei Gewohnheiten braucht Budget, ein zu kaufendes Werkzeug oder IT-Kenntnisse. Sie brauchen eine Entscheidung und ein wenig Beständigkeit.
1. Die Viertelstunde Sicherheit, einmal im Monat
Reservieren Sie fünfzehn Minuten am Ende einer ohnehin geplanten Teamsitzung. Ein Thema nach dem anderen, konkret: diesen Monat gefälschte Rechnungen, nächsten Monat Passwörter, danach «dringende» Anfragen des Chefs. Keine Präsentation, kein Fachjargon: eine echte Situation, was man hätte übersehen können, was man beim nächsten Mal tut. Regelmässigkeit schafft die Gewohnheit; sie schützt, weit mehr als eine grosse Jahressitzung. Lassen Sie die Moderation rotieren: Jede Person bereitet ihre Viertelstunde der Reihe nach vor, und Sicherheit ist nicht länger «das Thema der Geschäftsleitung».
2. An echten E-Mails lernen, nicht an Lehrbuchfällen
Wenn eine verdächtige Nachricht eintrifft — und das wird sie —, machen Sie ein Beispiel daraus. Ein kurzer Hinweis im internen Chat: «Schaut euch die an: Absenderadresse fast korrekt, dringlicher Ton, ein Link, der nicht dorthin führt, wohin er vorgibt. Das hätte uns stutzig machen sollen.» In wenigen Wochen baut sich das Team seine eigene Sammlung von Fallen auf, aus der eigenen Post. Das ist gratis, das ist anschaulich, und es schlägt jeden generischen Kurs, weil es genau dem gleicht, was Ihre Leute morgen sehen werden.
3. Zweifel leicht und ohne Schuldzuweisung machen
Der schlimmste Feind der Sicherheit in einem kleinen Team ist die Angst, naiv zu wirken. Wer geklickt hat oder zögert, muss es sofort sagen können, ohne die Reaktion der anderen zu fürchten. Bestimmen Sie eine Ansprechperson — in einem KMU oft die Geschäftsleitung selbst — und verbreiten Sie eine einfache Regel: «Im Zweifel fragen, und Fragen ist nie ein Fehler.» Eine Minute lautes Prüfen erspart Stunden der Reparatur. Das ist die am wenigsten technische Massnahme dieser Liste und wohl die lohnendste. An dem Tag, an dem jemand spontan sagt «Ich wäre fast reingefallen, passt auf diese Nachricht auf», wissen Sie, dass die Kultur gegriffen hat. Dieses Signal kann man nicht kaufen; man kultiviert es, eine Viertelstunde nach der anderen.
Wo stehen Sie wirklich?
Diese drei Gewohnheiten setzen eine Dynamik in Gang, und sie genügen oft, um von einer Kanzlei, in der «niemand wirklich daran gedacht hatte», zu einem Team mit dem Reflex zu zweifeln zu gelangen. Doch sie sagen noch nicht, wo Ihre Organisation stabil ist und wo sie weiterhin allein auf gutem Willen beruht. Wer prüft was? Was geschieht, wenn die Ansprechperson abwesend ist? Erhalten neue Mitarbeitende am ersten Tag das Nötigste? Genau diese blinden Flecken legt eine Selbsteinschätzung offen.
Genau das bietet Cyber Passport. Es zertifiziert nichts und erklärt Sie für nichts als «konform»: Es zeigt Ihnen, Frage für Frage, wo Sie bei der Sensibilisierung für Cybersicherheit wie bei allem anderen wirklich stehen und was zuerst Ihre Aufmerksamkeit verdient. Genug, um aus drei guten Reflexen eine echte Unternehmensgewohnheit zu machen — ohne das Budget zu sprengen. Um weiterzugehen und ein dauerhaftes Programm aufzubauen, entfaltet unser Blueprint «Sensibilisierungsprogramm» den vollständigen Plan, Schritt für Schritt.
